2026-10-27
Уязвимость Brotli CVE-2026-111497 (Node2Shell): как проверить Node.js, Python и .NET и что обновить
21 октября 2026 года (по времени США) Google выпустил Brotli 1.2.1, 1.1.1 и 1.0.10, исправляющие CVE-2026-111497 — запись за пределы буфера в официальной библиотеке Brotli. Затронуты Brotli 1.0.3–1.0.9, 1.1.0 и 1.2.0. Распаковка специально сформированных данных Brotli может повредить память и привести к сбою, раскрытию содержимого памяти или, потенциально, к выполнению произвольного кода. Google оценивает уязвимость в 9.2 по CVSS v4.0. Node.js в тот же день выпустил 22.23.4, 24.22.1 и 26.12.1, а 22 октября пакеты PyPI были исправлены в brotli 1.2.1 и brotlicffi 1.2.1.0. Microsoft опубликовал исправления для .NET 8, 9 и 10 (8.0.33, 9.0.22, 10.0.14) 25 октября (по времени США); исправления выпустили также Bun (1.4.4) и Envoy. JPCERT/CC, японская команда реагирования на компьютерные инциденты, 26 октября выпустила предупреждение, в котором упоминаются прозвища Node2Shell и HTTP2Shell. Многие программы содержат собственную копию Brotli, поэтому обновление библиотеки операционной системы не исправляет копии внутри официальных сборок Node.js, Python-wheel из PyPI, образов контейнеров и однофайловых исполняемых файлов. На утро 27 октября (по японскому времени) уязвимости нет в каталоге известных эксплуатируемых уязвимостей (KEV) CISA, и ни один первичный источник не сообщает об эксплуатации. Вывод этого сайта: если сервис на Node.js, Bun, Python или .NET распаковывает данные, полученные извне, сегодня проверьте версии, обновитесь, затем пересоберите контейнеры и исполняемые файлы.